An toàn thông tin không chỉ đơn giản liên quan đến vấn đề về máy móc, kỹ thuật và hệ thống thông tin như nhiều người lầm tưởng. Trên thực tế, sự rò rỉ và mất mát thông tin có thể xảy ra ở bất cứ đâu, thậm chí nghiêm trọng ở cả những tổ chức hay doanh nghiệp không có ứng dụng công nghệ thông tin, hay đơn giản với vài máy tính dùng như các công cụ đánh máy, in ấn và lưu trữ văn bản. Rò rỉ và mất mát thông tin là vấn đề không mới. Nó chỉ trở nên nghiêm trọng và thường xuyên hơn khi công nghệ thông tin với các dữ liệu số được sử dụng rộng khắp trong nhiều hoạt động của các tổ chức và xã hội. Thường rất đa dạng, xảy ra trong nhiều tình huống khác nhau, đôi khi hoàn toàn “thô sơ” và không liên quan đến công nghệ hiện đại. Các nguồn gây rò rỉ hay mất thông tin - Giấy tờ, hồ sơ in ấn rơi vãi, nhân viên mang về nhà, bản nháp/bản sao trong rác thải văn phòng. - Thông tin bí mật kinh doanh bị nhân viên chia sẻ trong các blog, e-mail cá nhân, chat. - Mất thông tin do hệ thống bảo mật kém, hacker, virus, sâu máy tính, người dùng cố ý lấy cắp. - Thiết bị chứa dữ liệu bị hỏng phần cứng, mất cắp, rơi rớt. - Dữ liệu bị sử dụng sai hoặc vô tình bị sửa, xóa, ghi chồng lên. - Dữ liệu bị tải hoặc chia sẻ lên mạng, do vô tình hoặc cố ý. - Nhân viên đã nghỉ việc, nhà cung cấp, khách hàng, hoặc đối tác thân thiết tiết lộ thông tin. - Hình ảnh, âm thanh thu được qua các thiết bị cá nhân như điện thoại di động, máy tính xách tay… An toàn thông tin phải bảo đảm ba thuộc tính quan trọng: - Tính cẩn mật: Tránh cho thông tin không rò rỉ trái phép, cho đối thủ hay công chúng. - Tính toàn vẹn: Tránh cho thông tin không bị thay đổi trái phép, thông tin phải chính xác và đầy đủ. - Tính sẵn sàng: Bảo đảm thông tin luôn sẵn sàng khi cần. Việc xây dựng một hệ thống an toàn thông tin không chỉ đơn thuần có ý nghĩa về mặt vật chất và kỹ thuật, về cơ bản nó mang đến nhiều lợi ích, ảnh hưởng trực tiếp đến hoạt động kinh doanh của một tổ chức: - Tài sản thông tin được quản lý chặt chẽ và có hệ thống. - Nắm bắt và kiểm soát các rủi ro có thể xảy ra. - Bảo mật thông tin trong nội bộ tổ chức, cũng như giữa tổ chức với bên ngoài. - Thể hiện sự cam kết của tổ chức với đối tác và khách hàng bằng hành động cụ thể. - Bảo đảm khả năng hoạt động của hệ thống khi có sự cố khẩn cấp xảy ra.